레벨 인피니트가 서비스하는 게임 '승리의 여신: 니케' PC 클라이언트를 통해 악성코드가 유포된 정황이 확인됐다. 게임 런처가 불러오는 파일이 변조되면서 이용자 PC에 원격제어 악성코드가 설치될 수 있었던 것으로 분석됐다. 게임을 공식 경로로 설치하고 실행했더라도 공격에 노출됐을 가능성이 있다는 점에서 이용자 주의 및 보안 조치가 요구된다.

보안 연구자 'MotherSphere'는 11월 3일 깃허브 분석 보고서에서 레벨 인피니트의 게임 배포 서버에 올라간 자바스크립트 파일 4개가 변조됐다고 밝혔다. 해당 파일은 'aegis-fix.min.js', 'images.7fec4c32.js', 'FeedList.feb647c9.js', 'vue-bucket.min.js'다.

보고서에 따르면 해당 파일들은 9월 27일부터 악성코드가 포함된 상태로 유통됐다. 게임 런처가 파일을 불러오면 외부 서버에 접속해 추가 악성코드를 내려받는 방식이다. 연구자는 원격제어 악성코드가 실제 작동한 가장 이른 사례가 10월 23일 16시 40분(GMT), 한국 시간 기준 10월 24일 오전 1시 40분에 확인됐다고 설명했다.

악성코드가 설치되면 공격자가 이용자 PC에 원격으로 명령을 내려 프로그램을 실행하거나 파일을 열람 또는 전송할 수 있다. PC 화면을 촬영하거나 인터넷 브라우저에 저장된 비밀번호와 로그인 정보, 쿠키 등을 수집하는 기능도 확인됐다. 개발 도구나 클라우드 서비스의 인증정보, 가상자산 지갑 관련 파일도 수집 대상에 포함됐다. 니케 런처에 저장된 계정 정보와 비밀번호를 복호화하는 기능도 보고됐다.

일부 악성코드는 게임 런처를 종료한 뒤에도 PC에 남아 작동할 수 있는 것으로 분석됐다. 윈도우 환경에서 '크롬' 브라우저가 불러오는 악성 파일을 PC에 등록해 지속적으로 실행되도록 하는 방식이다. 감염 흔적을 지우는 기능도 포함돼 있어 관련 파일이나 기록이 발견되지 않았다고 해서 감염되지 않았다고 단정하기는 어렵다.

변조된 파일 일부는 정상 파일로 교체됐지만, 교체 이후에도 일부 서버에서 악성 파일이 계속 제공된 정황이 확인됐다. 보고서에 따르면 'FeedList.feb647c9.js'는 원본 서버에서 10월 28일 정상화됐으나, 일부 서버에서는 한국 시간 기준 11월 4일 오전까지 변조된 파일이 제공됐다. 악성코드를 내려받는 데 사용된 외부 서버는 같은 날 오전 3시 31분께 응답을 중단한 것으로 파악됐다.

이번 사안은 게임 배포 서버에 올라간 정상 파일이 악성코드가 포함된 파일로 바뀌면서 이용자에게 유포된 공급망 공격 정황이다. 다만 공격자가 서버에 접근한 경위와 실제 피해 규모는 확인되지 않았다. 레벨 인피니트의 다른 게임도 같은 배포망을 이용했다면 영향을 받았을 가능성을 배제할 수 없지만, 현재까지 다른 게임에서 같은 방식의 악성코드 유포가 확인됐다는 근거는 보고서에 제시되지 않았다.

이용자들은 PC 버전 니케를 실행했던 기기의 보안 상태를 점검할 필요가 있다. 보고서에 따르면 게임 설치 폴더 내 'Launcher/intl_service/debug.log' 파일에서 'k2f_chan'이라는 문자열을 검색했을 때 관련 기록이 발견되면 악성코드가 실행됐을 가능성이 있다. 다만 해당 기록이 없다고 감염되지 않았다고 단정할 수는 없다.

연구자는 레벨 인피니트가 문제 해결을 공식 확인할 때까지 PC 런처를 실행하지 말고, 다시 실행하기 전 런처 캐시를 삭제할 것을 권고했다. 감염이 의심된다면 해당 PC의 인터넷 연결을 끊고, 계정 비밀번호 변경 등은 다른 안전한 기기에서 진행하는 것이 좋다.

이외에도 니케와 레벨 인피니트 계정뿐 아니라 이메일, 메신저, 금융 서비스 등 브라우저에 비밀번호를 저장한 주요 계정도 점검하고, 가능하면 2단계 인증을 설정해야 한다. 감염이 확인된 경우에는 게임을 삭제하거나 재설치하는 것만으로 안전을 보장하기 어렵다. 운영체제 재설치(포맷) 등 PC를 초기화 하는 것도 고려할 필요가 있다.

한편 이번 보고서는 연구자가 감염된 PC 한 대를 분석하고 다른 이용자들의 제보를 참고해 작성됐다. 악성코드 자체를 직접 실행하지 않고 파일과 로그 등을 분석한 결과로, 실제 정보 유출 규모와 피해 범위는 아직 확인되지 않았다.